SQL查询中问号代表什么？

Question

在阅读一些 SQL 书籍时，我发现示例倾向于在查询中使用问号 (?)。它代表什么？

Answer 1

您看到的是参数化查询。从程序执行动态 SQL 时经常使用它们。

例如，不要写这个（注意：伪代码）：

ODBCCommand cmd = new ODBCCommand("SELECT thingA FROM tableA WHERE thingB = 7")
result = cmd.Execute()

你写这个：

ODBCCommand cmd = new ODBCCommand("SELECT thingA FROM tableA WHERE thingB = ?")
cmd.Parameters.Add(7)
result = cmd.Execute()

这有很多优点，这可能是显而易见的。最重要的之一：解析参数的库函数非常聪明，并确保字符串正确转义。例如，如果您这样写：

string s = getStudentName()
cmd.CommandText = "SELECT * FROM students WHERE (name = '" + s + "')"
cmd.Execute()

当用户输入此内容时会发生什么？

Robert'); DROP TABLE students; --

（答案是此处）

改为这样写：

s = getStudentName()
cmd.CommandText = "SELECT * FROM students WHERE name = ?"
cmd.Parameters.Add(s)
cmd.Execute()

然后库将清理输入，产生这个：

"SELECT * FROM students where name = 'Robert''); DROP TABLE students; --'"

不是所有的 DBMS 都使用 ？。 MS SQL 使用命名参数，我认为这是一个巨大改进：

cmd.Text = "SELECT thingA FROM tableA WHERE thingB = @varname"
cmd.Parameters.AddWithValue("@varname", 7)
result = cmd.Execute()

Answer 2

? 是一个未命名参数，可以由运行查询的程序填写，以避免 SQL 注入。

Answer 3

? 用于允许参数化查询。这些参数化查询是在将 ? 替换为其各自的值时允许特定于类型的值。

仅此而已。

有 使用参数化查询是良好实践的几个原因。从本质上讲，它更容易阅读和调试，并且可以规避 SQL 注入攻击。

Answer 4

这是一个参数。您可以在执行查询时指定它。

Answer 5

我认为这在 SQL 中没有任何意义。您可能正在查看 JDBC 中的预准备语句或其他内容。在这种情况下，问号是语句参数的占位符。

Answer 6

它通常表示由客户端提供的参数。